ФБР сорвало северокорейскую кампанию FaceStealer, похитившую 400 млн долларов в криптовалюте

Федеральное бюро расследований США объявило о пресечении масштабной кампании социальной инженерии под названием FaceStealer, за которой стоят северокорейские хакеры. По данным ФБР, за последние полтора года злоумышленники похитили криптовалюту более чем на 400 млн долларов, а в ходе операции правоохранители изъяли свыше 900 тайно записанных видео с веб-камер жертв.

Как работала схема FaceStealer

Кампания строилась на подделке видеозвонков. Хакеры сначала взламывали аккаунты своих целей в Telegram, LinkedIn, Slack и Discord, а затем использовали их для приглашения следующих жертв на «видеовстречи» в поддельных версиях Zoom, Microsoft Teams и Google Meet.

Ключевой трюк заключался в том, что во время звонка жертва видела не живого собеседника, а заранее записанное видео с веб-камеры знакомого ей человека — того, кто сам ранее уже стал жертвой атаки. При этом камера самой жертвы тайно записывалась, чтобы впоследствии использовать её изображение для следующих целей.

После непродолжительного «разговора» на экране появлялось сообщение о фиктивной технической ошибке. Чтобы её исправить, предлагалось перейти по ссылке — якобы за обновлением или установщиком. На деле это вредоносное ПО заражало компьютер, открывая доступ к криптокошелькам, учётным данным сервисов видеосвязи, контактам и социальным сетям.

Кто попал под удар

Основными целями кампании стали участники криптовалютного и Web3-сектора, а также разработчики открытого программного обеспечения. По данным исследователей ArticWolf, атаки затронули 677 человек в 58 странах, причём акцент делался на основателей компаний и топ-менеджеров.

• Хакеры взломали мейнтейнера популярной JavaScript-библиотеки с десятками миллионов еженедельных загрузок, заманив его в фейковую встречу в Teams.
• ФБР подтвердило несколько попыток атак на разработчиков в экосистемах npm и Rust (crate).
• Иногда злоумышленники выжидали месяцы и даже больше года после первичного заражения — вероятно, ожидая, пока криптоактивы жертвы вырастут.

Дипфейки и связь с КНДР

ФБР отмечает, что хакеры начали применять технологии искусственного интеллекта для создания дипфейков с участием известных фигур из индустрии криптовалют и блокчейна. Кампанию приписывают северокорейской группировке Sapphire Sleet (также известной как UNC1069), которую связывают с властями КНДР.

При этом, как уточняет Reuters, это отдельная группа, не имеющая отношения к другим хакерам из КНДР, которых ранее уличили в недавнем взломе криптобиржи Binance с ущербом в 6,3 млрд долларов.

Как защититься от подобных атак

На фоне раскрытия кампании ФБР и специалисты по кибербезопасности дали несколько рекомендаций:

1. Подключаться к встречам только через официальные приложения по коду-приглашению.
2. Самостоятельно проверять неожиданные приглашения, даже если они приходят от знакомых.
3. Держать веб-камеру выключенной, если в ней нет необходимости.
4. Не запускать скрипты и «исправления», которые предлагают установить для устранения технических проблем.

Источники: bleepingcomputer.com, tomshardware.com, news.mail.ru (Reuters)